KİŞİSEL VERİLERİ SAKLAMA VE İMHA POLİTİKASI

KİŞİSEL VERİLERİN SAKLAMA VE İMHA POLİTİKASI

GÜNIŞIĞI ÇOCUK MERKEZİ

KİŞİSEL VERİLERİN SAKLAMA VE İMHA POLİTİKASI

1. AMACI

Günışığı Danışmanlık Organizasyon ve Ticaret Anonim Şirketi “Salih Omurtak Cad. No:55 Koşuyolu/İSTANBUL” ve Günışığı Çocuk Merkezi Nilgün Çiğdem Ergül “Akat Mah. Lavanta Sok. No:12 Akatlar- Levent/İSTANBUL” bu Kişisel Veri Saklama ve İmha Politikası (“Saklama ve İmha Politikası”) ile kişisel verilerin 6698 sayılı Kişisel Verilerin Korunması Kanununa (“Kanun”) uygun olarak teknik ve idari korunması, kişisel verilerin işlenme şartlarının ortadan kalkması halinde, 28/10/2017 tarihli Resmi Gazete’de yayımlanan Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik (“Yönetmelik”) hükümlerinin uygulamasını düzenlemek amacıyla çıkarılmaktadır.

2. KİŞİSEL VERİLERİN SAKLANDIĞI KAYIT ORTAMLARI

Veri sahiplerine ait kişisel veriler, merkezimiz tarafından aşağıdaki listelenen ortamlarda başta Kanun hükümleri olmak üzere ilgili mevzuata uygun olarak güvenli bir şekilde saklanmaktadır:

Elektronik ortamlar:

E-Posta Kutusu
Microsoft Office Programları
Güvenlik kamera kaydı
Kişisel bilgisayarlar
Sunucu ve yedekleme ünitesi
Bulut ortamı

Fiziksel ortamlar:

Kilitli Dolaplar
Arşiv

3. SAKLAMAYI GEREKTİREN SEBEPLERE İLİŞKİN AÇIKLAMALAR

Veri sahiplerine ait kişisel veriler, Merkezimiz tarafından özellikle:

Faaliyetlerin sürdürülebilmesi,
Hukuki yükümlülüklerin yerine getirilebilmesi,
Çalışan haklarının ve yan haklarının planlanması ve ifası,
İş ilişkilerinin yönetilebilmesi,

Amacıyla yukarıda sayılan fiziki veyahut elektronik ortamlarda güvenli bir biçimde Kanun ve diğer ilgili mevzuatta belirtilen sınırlar çerçevesinde saklanmaktadır.

Saklamayı Gerektiren Hukuki Sebepler:
Kişisel verileriniz; insan kaynakları süreçlerinin yönetimi, veri sahiplerinin açık rızasının bulunması, sözleşmelerin kurulması ve ifası ile doğrudan doğruya ilgili olması, veri sorumlusunun meşru menfaatleri için gerekli olması, muhtelif projeler ile iş ortaklığının kurulma amaçlarının yerine getirilmesinin temini, ticari faaliyetlerin yerine getirilmesi, şirketler hukuku, etkinlik yönetimi, kurumsal iletişim süreçlerinin yönetimi, ticari faaliyetlere ilişkin stratejilerin tasarlanması ve denetimi, güvenliğin sağlanması ve hukuken yetkili kamu kurum ve kuruluşlarına olan yükümlülüklerin yerine getirilmesi sebepleri ve amacıyla ilgili mevzuat ve Politikalarda belirtildiği şekilde tarafımızca saklanmakta ve ilgili süreçlerin sona ermesi ile kişisel verinin saklanmasını gerektiren hallerin ortadan kalması veya ilgili kişinin talebi ya da Kurul kararı sonucu imha edilmektedir.

4. KİŞİSEL VERİLERİN KORUNMASINA İLİŞKİN ALINAN TEDBİRLER

Merkezimiz, Kanun’un 12. maddesine uygun olarak, işlemekte olduğu kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, verilere hukuka aykırı olarak erişilmesini önlemek ve verilerin muhafazasını sağlamak için uygun güvenlik düzeyini sağlamaya yönelik gerekli teknik ve idari tedbirleri almakta, bu kapsamda gerekli denetimleri yapmak veya yaptırmaktadır.

4.1 Teknik Tedbirler

Çalışanlar için veri güvenliği hükümleri içeren disiplin düzenlemeleri mevcuttur.
- Çalışanlar için veri güvenliği konusunda belli aralıklarla eğitim ve farkındalık çalışmaları yapılmaktadır.
- Erişim, bilgi güvenliği, kullanım, saklama ve imha konularında kurumsal politikalar hazırlanmış ve uygulamaya başlanmıştır.
- Gizlilik taahhütnameleri yapılmaktadır.
- Güncel anti-virüs sistemleri kullanılmaktadır.
- Güvenlik duvarları kullanılmaktadır.
- İmzalanan sözleşmeler veri güvenliği hükümleri içermektedir.
- Kişisel veri güvenliği politika ve prosedürleri belirlenmiştir.
- Kişisel veri güvenliğinin takibi yapılmaktadır.
- Kişisel veri içeren fiziksel ortamlara giriş çıkışlarla ilgili gerekli güvenlik önlemleri alınmaktadır.
- Kişisel veri içeren ortamların güvenliği sağlanmaktadır.
- Kişisel veriler mümkün olduğunca azaltılmaktadır.
- Kişisel veriler yedeklenmekte ve yedeklenen kişisel verilerin güvenliği de sağlanmaktadır.
- Özel nitelikli kişisel veri güvenliğine yönelik protokol ve prosedürler belirlenmiş ve uygulanmaktadır.
- Özel nitelikli kişisel veriler elektronik posta yoluyla gönderilecekse mutlaka şifreli olarak ve KEP veya kurumsal posta hesabı kullanılarak gönderilmektedir.
- Veri işleyen hizmet sağlayıcılarının veri güvenliği konusunda belli aralıklarla denetimi sağlanmaktadır.
- Veri işleyen hizmet sağlayıcılarının, veri güvenliği konusunda farkındalığı sağlanmaktadır.

4.2 İdari Tedbirler

Çalışanlar, kişisel verilere hukuka aykırı erişimi engellemek için alınacak teknik tedbirler konusunda eğitilmektedir.
İş birimi bazında kişisel veri işlenmesi hukuksal uyum gerekliliklerine uygun olarak merkezimiz içinde kişisel verilere erişim ve yetkilendirme süreçleri tasarlanmakta ve uygulanmaktadır. Erişimin sınırlandırılmasında verinin özel nitelikli olup olmadığı ve önem derecesi de dikkate alınır.
Merkezimiz, personeli ile arasındaki ilişkiyi düzenleyen ve kişisel veri içeren her türlü belgeye kişisel verilerin hukuka uygun olarak işlenmesi için Kanun ile öngörülen yükümlülüklere uygun hareket edilmesi gerektiği, kişisel verilerin ifşa edilmemesi gerektiği, kişisel verilerin hukuka aykırı olarak kullanılmaması gerektiği ve kişisel verilere ilişkin gizlilik yükümlülüğünün merkezimiz ile olan iş akdinin sona ermesinden sonra dahi devam ettiği yönünde kayıtlar eklemiştir.
Çalışanlar, öğrendikleri kişisel verileri Kanun hükümlerine aykırı olarak başkasına açıklayamayacağı ve işleme amacı dışında kullanamayacağı ve bu yükümlülüğün görevden ayrılmalarından sonrada devam edeceği konusunda bilgilendirilmekte ve bu doğrultuda kendilerinden gerekli taahhütler alınmaktadır.
Merkezimiz tarafından kişisel verilerin hukuka uygun olarak aktarıldığı kişiler ile akdedilen sözleşmelere; kişisel verilerin aktarıldığı kişilerin, kişisel verilerin korunması amacıyla gerekli güvenlik tedbirlerini alacağına ve kendi kuruluşlarında bu tedbirlere uyulmasını sağlayacağına ilişkin hükümler eklenmektedir.
Gerekli hallerde kişisel verilerin işlenmesi hakkında bilgili ve deneyimli personel istihdam eder ve personeline kişisel verilerin korunması mevzuatı ve veri güvenliği kapsamında eğitimleri verir.
Merkezimiz, Kanun hükümlerinin uygulanmasını sağlamak amacıyla gerekli denetimleri yapar ve yaptırır.

5. KİŞİSEL VERİLERİN İMHA EDİLMESİNE İLİŞKİN ALINAN TEDBİRLER

Merkezimiz, ilgili kanun hükümlerine uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde kendi kararına istinaden veya kişisel veri sahibinin talebi üzerine kişisel verileri silebilir veya yok edebilir. Kişisel verilerin silinmesi akabinde ilgili kişiler hiçbir şekilde silinen verilere tekrardan erişilemeyecek ve kullanılmayacaktır.

Merkezimiz kişisel verileri yok etmek, silmek veya anonim hale getirmek için verilerin kaydedildiği ortama bağlı olarak aşağıda belirtilen yöntemlerin bir veya birkaçını kullanabilir:

5.1 Kişisel Verilerin Silinmesi, Yok Edilmesi ve Anonim Hale Getirilmesine İlişkin Yöntemler

Kişisel Verilerin Silinmesi

Kişisel verilerin silinmesi, kişisel verilerin ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesi işlemidir. Kişisel verilerin silinmesi yöntemi olarak XXXXXXXXXXXXX aşağıdaki yöntemlerden bir veya birkaçını kullanabilir:

Kağıt ortamında bulunan kişisel veriler karartma yöntemi ile çizilerek, boyanarak, kesilerek veya silinerek işlem uygulanacaktır.
Merkezi dosyada yer alan ofis dosyaları için kullanıcı(lar)nın erişim hakkı(ları) ortadan kaldırılacaktır.
Veri tabanlarında bulunan kişisel bilgilerin bulunduğu satırlar yahut sütunlar ‘Delete’ komutu ile silinecektir.

Gerekli olduğu zaman bir uzman tarafından yardım alınarak güvenli olarak silinecektir.

5.1.2 Kişisel Verilerin Yok Edilmesi

Kişisel verilerin yok edilmesi, kişisel verilerin aşağıdaki yöntemlerle hiç kimse tarafından hiçbir şekilde erişilemez, geri getirilemez ve tekrar kullanılamaz hale getirilmesi işlemidir.

Fiziksel Yok Etme

Kağıt İmha Makinesi ile Yok Etme

De-manyetize Etme: Manyetik medyanın yüksek manyetik alanlara maruz kalacağı özel cihazlardan geçirilerek üzerindeki verilerin okunamaz bir biçimde bozulması yöntemidir.

5.1.3 Kişisel Verileri Anonim Hale Getirilmesi

Kişisel verilerin anonim hale getirilmesi, kişisel verilerin başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmesini ifade eder. Merkezimiz gerekliliğine göre kişisel verileri anonim hale getirmek için aşağıda belirtilen yöntemlerin bir veya birkaçını kullanabilir:

Maskeleme (Masking): Veri maskeleme ile kişisel verinin temel belirleyici bilgisini veri seti içerisinden çıkartılarak kişisel verinin anonim hale getirilmesi yöntemidir.

Kayıtları Çıkartma: Kayıttan çıkarma yönteminde veriler arasında tekillik ihtiva eden veri satırı kayıtlar arasından çıkarılarak saklanan veriler anonim hale getirilmektedir.

Bölgesel Gizleme: Bölgesel gizleme yönteminde ise tek bir verinin çok az görülebilir bir kombinasyon yaratması sebebi ile belirleyici niteliği mevcut ise ilgili verinin gizlenmesi anonimleştirmeyi sağlamaktadır.

Global Kodlama: Veri türetme yöntemi ile kişisel verinin içeriğinden daha genel bir içerik oluşturulmakta ve kişisel verinin herhangi bir kişiyle ilişkilendirilemeyecek hale getirilmesi sağlanmaktadır. Örneğin; doğum tarihleri yerine yaşların belirtilmesi; açık adres yerine ikamet edilen bölgenin belirtilmesi.

Gürültü Ekleme: Verilere gürültü ekleme yöntemi özellikle sayısal verilerin ağırlıklı olduğu bir veri setinde mevcut verilere belirlenen oranda artı veya eksi yönde birtakım sapmalar eklenerek veriler anonim hale getirilmektedir. Örneğin, kilo değerlerinin olduğu bir veri grubunda (+/-) 3 kg sapması kullanılarak gerçek değerlerin görüntülenmesi engellenmiş ve veriler anonimleştirilmiş olur. Sapma her değere eşit ölçüde uygulanır.

Merkezimiz kişisel verinin silinmesi, yok edilmesi veya anonim hale getirilmesine ilişkin re’sen karar alabilecek ve seçmiş olduğu kategoriye göre kullanacağı yöntemi de serbestçe belirleyebilecektir.

6. KİŞİSEL VERİLERİ SAKLAMA VE İMHA SÜRELERİ

Merkezimiz, kişisel verileri işlendikleri amaç için Ek-1’de belirtilen süreler boyunca saklar. Mevzuatta söz konusu kişisel verinin saklanmasına ilişkin olarak bir süre öngörülmüş ise bu süreye riayet edilir. Mevzuatta öngörülmüş bir süre olmaması halinde kişisel veriler Ek-1’deki tabloda yer alan kişisel verilerin tutulması için azami süre boyunca saklanacaktır.

Bu sürelerin sona ermesi dolayısıyla silme, yok etme veya anonim hale getirme yükümlülüğünün ortaya çıktığı durumda Merkez, bu tarihi takip eden ilk periyodik imha işleminde kişisel verileri siler, yok eder veya anonim hale getirir.

Kişisel verilerin silinmesi, yok edilmesi ve anonim hale getirilmesiyle ilgili yapılan bütün işlemler kayıt altına alınır ve söz konusu kayıtlar, diğer hukuki yükümlülükler hariç olmak üzere en az üç yıl süreyle saklanır.

7. PERİYODİK İMHA SÜRELERİ

Yönetmeliğin 11 inci maddesi gereğince, periyodik imha süresini 6 ay olarak belirlenmiştir. Buna göre, her yıl Haziran ve Aralık aylarında periyodik imha işlemi gerçekleştirilir. Söz konusu sistemlerde bilgilerin tekrar geri getirilmeyecek şekilde, verilerin kaydedildiği varsa evrak, dosya, CD, disket, hard disk gibi araçlardan geri dönüştürülmeyecek şekilde silinecektir.

8. PERSONEL

Kanun kapsamında Merkezimiz veri sorumlusu sıfatıyla, Yönetmelik’in 11. maddesinin 1. fıkrasına dayanarak, Kanunun veri saklama ve imha süreci uygulanması bakımından yükümlülükleri yerine getirilecek personelin unvanları, birimleri ve görev tanımları Saklama ve İmha Politikası Ek-2’de yer alan tablo ile belirlenmiştir.

9. REVİZYON VE YÜRÜRLÜKTEN KALDIRMA

Saklama ve İmha Politikası’nın değiştirilmesi, yürürlükten kaldırılması halinde yeni düzenleme internet sitemiz üzerinden ilan edilecektir.

10. YÜRÜRLÜK

Bu Saklama ve İmha Politikası yayınlandığı tarihinde yürürlüğe girer.

EKLER

EK 1-Veri Saklama ve İmha Süreleri

EK 2- Kişisel Veri Saklama, İmha ile Görevli Personel Tablosu

EK 1- Veri Saklama ve İmha Süreleri

Veri Kategorisi	Saklama Süresi	İmha Süresi
Kimlik	İşlem tarihi veya hukuki ilişkinin sonlanmasından itibaren 10 yıl	Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
İletişim	İşlem tarihi veya hukuki ilişkinin sonlanmasından itibaren 10 yıl	Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
Lokasyon	İşlem tarihi veya hukuki ilişkinin sonlanmasından itibaren 10 yıl	Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
Özlük	İstihdamın sonlanmasından itibaren 10 yıl	Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
Hukuki İşlem	Yargı kararının kesinleşmesinden itibaren 5 yıl	Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
Hukuki İşlem	İşlem tarihi veya hukuki ilişkinin sonlanmasından itibaren 10 yıl	Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
Müşteri İşlem	İşlem tarihi veya hukuki ilişkinin sonlanmasından itibaren 10 yıl	Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
Fiziksel Mekân Güvenliği	15 gün	Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
Finans	İşlem tarihi veya hukuki ilişkinin sonlanmasından itibaren 10 yıl	Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
Mesleki Deneyim	İstihdamın sonlanmasından itibaren 10 yıl	Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
Pazarlama	İstihdamın sonlanmasından itibaren 10 yıl	Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
Görsel ve İşitsel Kayıtlar	İşlem tarihi veya hukuki ilişkinin sonlanmasından itibaren 10 yıl	Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
Sağlık Bilgileri	15 yıl	Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
Aile Bilgileri	10 Yıl	Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
Çalışma Verisi	10 Yıl	Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
Talep/Şikayet Yönetimi Bilgisi	2 Yıl	Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
Olay Yönetimi Bilgisi	2 Yıl	Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
İmzalar	10 Yıl	Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
Ziyaretçiler	1 Yıl	Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
Sigorta Bilgileri	İstihdamın sonlanmasından itibaren 10 yıl	Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
Denetim ve Teftiş	10 Yıl	Saklama süresinin bitimini takip eden ilk periyodik imha süresinde

EK 2-Kişisel Veri Saklama, İmha ile Görevli Personel Tablosu

Aşağıda kişisel verilerin saklanması ve imhası süreçlerinde yer alan yetkili ve görevli kişilerin unvanları, birimleri ve görev tanımları belirtilmiştir.

Personel	Görev	Sorumluluk
İnsan Kaynakları Yöneticisi	Uygulama sorumlusu	Görevi içindeki süreçlerin saklama süresine uygunluğunun sağlanması ile periyodik imha süresi uyarınca kişisel veri imha sürecinin yönetimi
İdari İşler Yöneticisi	Uygulama sorumlusu	Görevi içindeki süreçlerin saklama süresine uygunluğunun sağlanması ile periyodik imha süresi uyarınca kişisel veri imha sürecinin yönetimi
Muhasebe ve Finans Yöneticisi	Uygulama sorumlusu	Görevi içindeki süreçlerin saklama süresine uygunluğunun sağlanması ile periyodik imha süresi uyarınca kişisel veri imha sürecinin yönetimi
Bilgi İşlem Departmanı	Uygulama sorumlusu	Görevi içindeki süreçlerin saklama süresine uygunluğunun sağlanması ile periyodik imha süresi uyarınca kişisel veri imha sürecinin yönetimi

ÇOCUĞUNUZ BİZİM İÇİN DE DEĞERLİ…